FR3093829A1 - Localisation de panne dans un système d’acquisition redondant - Google Patents
Localisation de panne dans un système d’acquisition redondant Download PDFInfo
- Publication number
- FR3093829A1 FR3093829A1 FR1902477A FR1902477A FR3093829A1 FR 3093829 A1 FR3093829 A1 FR 3093829A1 FR 1902477 A FR1902477 A FR 1902477A FR 1902477 A FR1902477 A FR 1902477A FR 3093829 A1 FR3093829 A1 FR 3093829A1
- Authority
- FR
- France
- Prior art keywords
- channels
- threshold
- location
- acquisition
- channel
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000001514 detection method Methods 0.000 claims abstract description 52
- 238000004364 calculation method Methods 0.000 claims abstract description 43
- 238000000034 method Methods 0.000 claims abstract description 31
- 230000004807 localization Effects 0.000 claims abstract description 27
- 238000005259 measurement Methods 0.000 claims abstract description 25
- 230000002950 deficient Effects 0.000 claims abstract description 14
- 230000006870 function Effects 0.000 claims description 17
- 230000001960 triggered effect Effects 0.000 claims description 9
- 238000012423 maintenance Methods 0.000 claims description 6
- 238000012545 processing Methods 0.000 description 4
- 230000004308 accommodation Effects 0.000 description 3
- 230000003449 preventive effect Effects 0.000 description 2
- 238000012360 testing method Methods 0.000 description 2
- 108010001267 Protein Subunits Proteins 0.000 description 1
- 230000003321 amplification Effects 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000015556 catabolic process Effects 0.000 description 1
- 238000005094 computer simulation Methods 0.000 description 1
- 230000003247 decreasing effect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 238000009499 grossing Methods 0.000 description 1
- 238000003199 nucleic acid amplification method Methods 0.000 description 1
- 238000007781 pre-processing Methods 0.000 description 1
- 238000011144 upstream manufacturing Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
- G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/1629—Error detection by comparing the output of redundant processing systems
- G06F11/165—Error detection by comparing the output of redundant processing systems with continued operation after detection of the error
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
- G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
- G05B23/0208—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the configuration of the monitoring system
- G05B23/0213—Modular or universal configuration of the monitoring system, e.g. monitoring system having modules that may be combined to build monitoring program; monitoring system that can be applied to legacy systems; adaptable monitoring system; using different communication protocols
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
- G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
- G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
- G05B23/0275—Fault isolation and identification, e.g. classify fault; estimate cause or root of failure
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
- G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
- G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
- G05B23/0286—Modifications to the monitored process, e.g. stopping operation or adapting control
- G05B23/0289—Reconfiguration to prevent failure, e.g. usually as a reaction to incipient failure detection
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0751—Error or fault detection not based on redundancy
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
- G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Quality & Reliability (AREA)
- General Engineering & Computer Science (AREA)
- Automation & Control Theory (AREA)
- Chemical & Material Sciences (AREA)
- Chemical Kinetics & Catalysis (AREA)
- Testing And Monitoring For Control Systems (AREA)
- Monitoring And Testing Of Transmission In General (AREA)
- Testing Or Calibration Of Command Recording Devices (AREA)
Abstract
La présente invention concerne un procédé de détection et de localisation de panne d’une voie d’acquisition de mesure dans un système d’acquisition (10) comprenant deux voies d’acquisition redondantes (A, B) de la mesure d’une grandeur physique dans un environnement, le procédé utilisant une unité de calcul (20) comprenant une mémoire (24) stockant un modèle (Mod) de la grandeur physique mesurée, le procédé mettant en œuvre les étapes suivantes :- (E1) détection d’une erreur lorsqu’un écart (∆) entre les valeurs mesurées des deux voies (A, B) atteint un seuil de détection (Th_D),- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée (T), - (E3) localisation de la voie défectueuse parmi les deux voies (A, B), lorsque l’écart (∆) des valeurs mesurées entre les voies (A, B) atteint un seuil de localisation (Th_L), ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies (A, B) avec une valeur modélisée de la grandeur physique,le seuil de localisation (Th_L) étant différent du seuil de détection (Th_D). Figure pour l’abrégé : Fig. 3
Description
DOMAINE TECHNIQUE GENERAL
L’invention concerne la gestion des pannes dans des systèmes d’acquisitions duplex (aussi appelé systèmes d’acquisition redondants).
L’invention sera illustrée dans le cadre général d’une turbomachine d’un aéronef mais est applicable à tout système d’acquisition duplex.
Le système d’acquisition mesure par exemple la position d’une valve, la course d’un vérin, etc.
ETAT DE L’ART
Un moteur équipant un aéronef monomoteur est généralement plus contraint sur la sécurité que dans le cadre d’une application bimoteur. En effet pour une application bi-moteur, une coupure moteur est un évènement avec une criticité moindre que pour une application monomoteur où l’évènement est classé très dangereux puisqu’une perte de la poussée du moteur unique entraine la perte de la propulsion de l’aéronef.
La gestion des pannes pour une telle application nécessite donc d’être adaptée afin d’éviter au maximum les pertes de poussée inacceptables (appelée LOTC :Lost Of Thrust Control). Les acquisitions pouvant engendrer un LOTC sont généralement physiquement redondées (acquisitions duplex) afin d’éviter qu’une panne simple électrique puisse amener au LOTC (exigence de certification CS-E 50 par exemple).
Le système mécanique ou électrique ou électronique ou toute combinaison intervenant dans l’acquisition duplexe est donc redondant : il comprend au moins deux voies A et B effectuant la même fonction d’acquisition.
La redondance physique permet de détecter les pannes simples et de s’en accommoder. En effet, un test d’écart ∆ entre les voies A et B (par exemple le calcul de l’écart entre les valeurs mesurées par chaque voie A, B, telle qu’une intensité ou un voltage, ou leurs signaux numériques correspondants) est généralement effectué sur les acquisitions dans le programme de régulation pour détecter ces pannes simples.
Lafigure1 illustre cette méthode. Elle sera décrite par la suite.
Ce test d’écart ∆ calcule l’écart ∆ entre voies A, B et le compare à un seuil de détection prédéfini Th_D :
- Si l’écart ∆ entre les voies A et B est inférieur au seuil de détection Th_D, on considère qu’il n’y a pas de panne (soit les deux voies A, B sont effectivement saines, soit une voie est légèrement défaillante mais la panne est suffisamment faible pour être sans impact au niveau moteur),
- Si l’écart ∆ entre les voies A et B est supérieur au seuil de détection Th_D, on considère qu’il y a une panne sur une des deux voies A, B puisque cet écart ∆ est trop important pour traduire un comportement physique réel du moteur. On dit alors qu’une panne est détectée.
- Si l’écart ∆ entre les voies A et B est inférieur au seuil de détection Th_D, on considère qu’il n’y a pas de panne (soit les deux voies A, B sont effectivement saines, soit une voie est légèrement défaillante mais la panne est suffisamment faible pour être sans impact au niveau moteur),
- Si l’écart ∆ entre les voies A et B est supérieur au seuil de détection Th_D, on considère qu’il y a une panne sur une des deux voies A, B puisque cet écart ∆ est trop important pour traduire un comportement physique réel du moteur. On dit alors qu’une panne est détectée.
Une fois détectée, il est alors nécessaire de localiser la panne, c'est-à-dire déterminer la voie défaillante parmi les deux voies testées.
Généralement la localisation est effectuée simultanément à la détection en faisant un vote à trois avec un modèle d’arbitrage : à l’aide d’un modèle de la grandeur physique mesurée (le modèle fournissant des valeurs modélisées de la grandeur physique qui ont été élaborées à partir des mesures d’autres grandeurs physiques dans l’environnement du moteur), la voie A, B la plus proche de ce modèle, c’est-à-dire la voie A, B dont la valeur acquise est la plus proche de la valeur modélisée de la grandeur physique, est considérée valide.
En d’autres termes, quand une panne est détectée et que la voie A (respectivement B) est proche du modèle, alors on considère que la voie B (respectivement A) est défaillante et on sélectionne la voie A (respectivement B). Par exemple, cette sélection signifie que ce sera la voie A qui sera utilisée pour toutes les autres actions concernant l’aéronef. La voie B est fonctionnellement ignorée.
Le problème de cette stratégie est que la précision du modèle est généralement beaucoup moins bonne que la précision du capteur ce qui peut rapidement conduire à des mauvaises localisations.
L’exemple ci-dessous permettra d’illustrer cette situation.
En pratique, la valeur sélectionnée pour les traitements divers subséquent à l’acquisition (utilisation des mesures acquises dans d’autres calculs, etc.) est généralement la moyenne arithmétique entre voies A, B en fonctionnement nominal (i.e. quand les deux voies A et B sont saines), ce qui permet alors de diviser par deux l’impact d’une panne d’une des deux voies sur la valeur sélectionnée (sur lafigure 1, le trait en pointillé jusqu’à t=t1). Cependant en cas de mauvaise localisation (c’est-à-dire que si en cas de panne, on sélectionne la voie défaillante), l’erreur est prise en totalité ce qui est le cas le plus défavorable.
En effet, si on considère que Voie_saine=Valeur_réelle et Voie_défaillante=Valeur_réelle+Défaillance, on observe bien que la sélection de la voie défaillante est plus défavorable que l’absence d’accommodation.
Si on choisit la voie saine, alors on a
Valeur_sélectionnée=Voie_saine=Valeur_réelle
Valeur_sélectionnée=Voie_saine=Valeur_réelle
Si on choisit la moyenne entre voies, alors on a
Valeur_sélectionnée=1/2 (Voie_saine+Voie_défaillante)
=1/2 (Valeur_réelle+Valeur_réelle+Défaillance)
= Valeur_réelle+ 1/2 Défaillance
Valeur_sélectionnée=1/2 (Voie_saine+Voie_défaillante)
=1/2 (Valeur_réelle+Valeur_réelle+Défaillance)
= Valeur_réelle+ 1/2 Défaillance
Si on choisit la voie défaillante, alors on a
Valeur_sélectionnée=Voie_défaillante =Valeur_réelle+Défaillance
Valeur_sélectionnée=Voie_défaillante =Valeur_réelle+Défaillance
Ainsi, en cas de mauvaise sélection, on subit la défaillance dans son intégralité, contre seulement la moitié de la défaillance dans le cas d’une prise en compte de la moyenne.
Dans l’exemple de lafigure 1, on considère un capteur avec une voie B en dérive. On suppose qu’un évènement redouté (LOTC par exemple) arrive si on se trompe de 8K sur la mesure (seuil de défaillance Th_Err).
On définit (paramètre de conception) un seuil de détection de l’écart entre voies (seuil de « cross-check ») Th_D de 1K et on impose que la localisation se fasse en même temps que la détection. De plus, en fonctionnement nominal, on sélectionne la moyenne entre voies A, B.
Au moment t0, une des deux voies dérive (supposons qu’il s’agisse de la voie B). La courbe sélectionnée, qui correspond à la moyenne en régime nominal dérive deux fois plus lentement (sur lafigure 1, le trait en pointillé jusqu’ t=t1). A t1, la voie B atteint le seuil de détection. Comme les capteurs des voies A et B sont précis, cette détection est fiable (i.e. il y a réellement un problème).
La localisation devant se faire aussi à t1, il faut comparer les voies A et B avec le modèle. En revanche, comme la détection s’est faite très tôt (avec un écart ∆ faible), la « mauvaise » précision du modèle ne permet pas toujours de discriminer la voie défaillante de la voie saine. Ainsi, si la sélection se porte sur la voie B, la courbe sélectionnée B atteindra le seuil de l’évènement Th_Err plus rapidement que si la courbe sélectionnée était restée celle de la moyenne des voies A, B. On a donc rejeté la bonne voie A et la situation se retrouve immédiatement détériorée.
On observe alors que dans certains cas, une localisation trop hâtive amène à amplifier un phénomène qui aurait été plus faible sans action.
Il serait donc préférable de définir le bon moment pour localiser afin de minimiser la probabilité de mauvaise localisation.
Enfin, une autre approche parfois utilisée est de ne pas détecter de panne tant qu’on n’est pas capable de la localiser. L’inconvénient est dans ce cas de retarder la détection de la panne.
L’invention proposée par la suite définit une stratégie qui permet de diminuer fortement le nombre de fausses localisations et donc conduit à des systèmes de régulation plus sûrs.
L’invention part du constat que le taux de mauvaise localisation est relativement important avec la stratégie de gestion des pannes actuelles. En effet, la détection et la localisation de panne sont effectuées simultanément alors que ces deux phases ne répondent pas au même besoin :
- la détection est une opération essentiellement basée sur la précision des capteurs et le seuil de détection est généralement déterminé par cette précision,
- la localisation est une opération basée sur la précision du modèle d’arbitrage, durant laquelle on cherche à évaluer la voie la plus vraisemblablement vraie en s’appuyant sur la sortie du modèle.
- la détection est une opération essentiellement basée sur la précision des capteurs et le seuil de détection est généralement déterminé par cette précision,
- la localisation est une opération basée sur la précision du modèle d’arbitrage, durant laquelle on cherche à évaluer la voie la plus vraisemblablement vraie en s’appuyant sur la sortie du modèle.
Les phases de détection et de localisation ont donc tout intérêt à être distinguées car elles ne sont pas dirigées par les mêmes paramètres dimensionnants. Lorsqu’une panne est d’amplitude relativement faible, il est plus sûr de ne pas l’accommoder (conservation de la moyenne entre voies) que de chercher à la localiser en prenant un risque important de se tromper.
A cet égard, selon un premier aspect, l’invention propose un procédé de détection et de localisation de panne dans un système d’acquisition comprenant deux voies d’acquisition redondantes de la mesure d’une grandeur physique dans un environnement, le procédé utilisant une unité de calcul comprenant une mémoire stockant un modèle de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d’autres grandeurs physiques dans ledit environnement, le procédé mettant en œuvre les étapes suivantes :
- (E1) détection d’une erreur symptomatique d’une voie d’acquisition défectueuse lorsqu’un écart entre les valeurs mesurées des deux voies (A, B) atteint un seuil de détection,
- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée de maintien sous contrôle de l’erreur,
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsque l’écart des valeurs mesurées entre les voies atteint un seuil de localisation ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec une valeur modélisée de la grandeur physique,
le seuil de localisation étant différent du seuil de détection.
- (E1) détection d’une erreur symptomatique d’une voie d’acquisition défectueuse lorsqu’un écart entre les valeurs mesurées des deux voies (A, B) atteint un seuil de détection,
- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée de maintien sous contrôle de l’erreur,
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsque l’écart des valeurs mesurées entre les voies atteint un seuil de localisation ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec une valeur modélisée de la grandeur physique,
le seuil de localisation étant différent du seuil de détection.
La durée T est préférablement non-nulle. Elle correspond à une durée d’inoffensivité de l’erreur.
Dans un mode de réalisation, l’unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d’acquisition tant que l’étape de localisation (E3) n’est pas déclenchée, ledit procédé comprenant une étape de :
- (E4) sélection de la voie non-défectueuse comme grandeur de travail une fois l’étape de localisation (E3) de la voie défectueuse effectuée.
Dans un mode de réalisation, un seuil de défaillance est prédéfini et l’unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d’acquisition tant que l’étape de localisation (E3) n’est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l’écart entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l’écart entre la donnée de travail et la valeur de l’une ou l’autre des deux voies ne puisse pas dépasser le seuil de défaillance.
Dans un mode de réalisation, le seuil de localisation est supérieur à un seuil de défaillance.
Dans un mode de réalisation, la grandeur de travail correspond à une grandeur de sortie de l’unité pour le traitement subséquent par d’autres calculateurs.
Dans un mode de réalisation, la grandeur de travail correspond à une moyenne arithmétique des grandeurs des voies.
Dans un mode de réalisation, le seuil de localisation est compris (préférablement strictement) entre le seuil de défaillance et deux fois le seuil de défaillance.
Dans un mode de réalisation, une étape de notification de la détection est émise par l’unité de calcul avant la mise en œuvre de l’étape de localisation (E4), préférablement au moment de l’étape de détection (E3), pour fournir une information d’un état de panne détectée mais non localisée.
Dans un mode de réalisation, le seuil de détection et/ou le seuil de localisation et/ou le seuil de défaillance et/ou le modèle de la grandeur physique est/sont fonction des plages de fonctionnement du système d’acquisition et/ou de la précision du modèle.
Dans un mode de réalisation, le seuil de détection est fixé en fonction des spécifications de capteur des deux voies.
Dans un mode de réalisation, les seuils et les écarts sont exprimés en valeur absolue (et sont donc positifs).
Selon un deuxième aspect, l’invention propose une unité de calcul pour la détection et de localisation de panne d’une voie d’acquisition de mesure dans un système d’acquisition comprenant deux voies d’acquisition redondantes de la mesure d’une grandeur physique dans un environnement, l’unité de calcul comprenant une mémoire (24) stockant un modèle (Mod) de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d’autres grandeurs physiques dans ledit environnement, l’unité de calcul étant configuré pour recevoir des données de mesure issues des voies d’acquisition du système d’acquisition,
l’unité de calcul étant configurée pour mettre en œuvre les étapes du procédé décrit précédemment, c’est-à-dire notamment les étapes suivantes :
- (E1) détection d’une erreur lorsque l’écart entre les valeurs mesurées des deux voies franchit un seuil de détection,
- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée,
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsque l’écart des valeurs mesurées entre les voies franchit un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec une valeur modélisé de la grandeur physique,
le seuil de localisation étant différent du seuil de détection.
l’unité de calcul étant configurée pour mettre en œuvre les étapes du procédé décrit précédemment, c’est-à-dire notamment les étapes suivantes :
- (E1) détection d’une erreur lorsque l’écart entre les valeurs mesurées des deux voies franchit un seuil de détection,
- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée,
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsque l’écart des valeurs mesurées entre les voies franchit un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec une valeur modélisé de la grandeur physique,
le seuil de localisation étant différent du seuil de détection.
Selon un troisième aspect, l’invention propose un ensemble comprenant une unité de calcul telle que décrite précédemment et un système d’acquisition duplex.
Selon un quatrième aspect, l’invention propose un procédé de localisation de panne dans un système d’acquisition comprenant deux voies d’acquisition redondantes de la mesure d’une grandeur physique dans un environnement, le procédé utilisant une unité de calcul comprenant une mémoire stockant un modèle de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d’autres grandeurs physiques dans ledit environnement, le procédé mettant en œuvre les étapes suivantes :
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsqu’un écart des valeurs mesurées entre les voies atteint un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec le modèle de la voie stocké dans la mémoire,
dans lequel un seuil de défaillance est défini et l’unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d’acquisition tant que l’étape de localisation (E3) n’est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l’écart ∆ entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l’écart entre la donnée de travail et l’une ou l’autre des deux voies ne puisse pas dépasser le seuil de défaillance (préférablement l’écart le plus grand parmi les deux écarts).
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsqu’un écart des valeurs mesurées entre les voies atteint un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec le modèle de la voie stocké dans la mémoire,
dans lequel un seuil de défaillance est défini et l’unité de calcul génère une donnée de travail qui prend en compte les valeurs des deux voies d’acquisition tant que l’étape de localisation (E3) n’est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l’écart ∆ entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l’écart entre la donnée de travail et l’une ou l’autre des deux voies ne puisse pas dépasser le seuil de défaillance (préférablement l’écart le plus grand parmi les deux écarts).
L’étape de localisation implique ici l’étape de détection.
Selon un cinquième aspect, l’invention propose une unité de calcul pour la détection et de localisation de panne dans un système d’acquisition comprenant deux voies d’acquisition redondantes de la mesure d’une grandeur physique dans un environnement, l’unité de calcul comprenant une mémoire stockant un modèle de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d’autres grandeurs physiques dans ledit environnement, l’unité de calcul étant configuré pour recevoir des données de mesure issues des voies d’acquisition du système d’acquisition,
l’unité de calcul étant configurée pour mettre en œuvre les étapes du procédé décrit précédemment, c’est-à-dire notamment les étapes suivantes :
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsqu’un écart des valeurs mesurées entre les voies atteint un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec le modèle de la voie stocké dans la mémoire,
dans lequel un seuil de défaillance est défini et l’unité de calcul génère une donnée de travail qui prend en compte les valeurs deux voies d’acquisition tant que l’étape de localisation (E3) n’est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l’écart ∆ entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l’écart entre la donnée de travail et l’un ou l’autre des deux voies ne puisse pas dépasser le seuil de défaillance (préférablement l’écart le plus grand parmi les deux écarts).
l’unité de calcul étant configurée pour mettre en œuvre les étapes du procédé décrit précédemment, c’est-à-dire notamment les étapes suivantes :
- (E3) localisation de la voie défectueuse parmi les deux voies, lorsqu’un écart des valeurs mesurées entre les voies atteint un seuil de localisation, ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies avec le modèle de la voie stocké dans la mémoire,
dans lequel un seuil de défaillance est défini et l’unité de calcul génère une donnée de travail qui prend en compte les valeurs deux voies d’acquisition tant que l’étape de localisation (E3) n’est pas déclenchée, et dans lequel le seuil de localisation est choisi de sorte que l’écart ∆ entre les valeurs des deux voies puisse dépasser le seuil de défaillance mais que l’écart entre la donnée de travail et l’un ou l’autre des deux voies ne puisse pas dépasser le seuil de défaillance (préférablement l’écart le plus grand parmi les deux écarts).
D’autres caractéristiques, buts et avantages de l’invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés, sur lesquels :
En référence à lafigure 2a été illustré un ensemble comprenant un système d’acquisition duplex ou redondant 10 et une unité de calcul 20 apte à recevoir des données issues du système d’acquisition 10.
Le système d’acquisition 10 comprend une première voie A et une deuxième voie B permettant de mesurer des données relatives à un dispositif 30 mécanique, électronique, électrique et/ou hydraulique. Les voies A, B sont destinées à mesurer la même grandeur physique du même dispositif 30. Les voies A et B comprennent pour cela chacune au moins respectivement un capteur 12, 14 (capteur de tension, de champ magnétique, de température, de couple, de force, etc.).
Les capteurs 12, 14 des deux voies A, B envoient ensuite leurs données à l’unité de calcul 20. Les données sont généralement sous forme de valeur de tension électrique indicative du paramètre que les capteurs 12, 14 mesurent. Les données peuvent être transmises de façon numérique ou analogique. En particulier, les données peuvent être prétraitées (filtrage, lissage, etc., soit au niveau du capteur, soit au niveau de l’unité de calcul 20) pour pouvoir être utilisée dans le cas d’un procédé conforme aux différents modes de réalisation de l’invention.
Le système d’acquisition 10 peut ainsi comprendre un module de traitement 16 pour effectuer le pré-traitement des données issues des voies A, B afin que l’unité de calcul 20 reçoive des données utilisables directement.
L’unité de calcul 20 comprend un processeur 22 apte à traiter des données (par exemple calculer les différences entre les valeurs des voies d’acquisition A, B, calculer une nouvelle grandeur à partir de ces voies d’acquisition A, B, calculer une moyenne, etc.) et à effectuer des calculs, et comprend en outre une mémoire 24. Le processeur 22 peut communiquer avec la mémoire 24.
L’unité de calcul 20 a aussi pour fonction de générer une donnée de travail S, qui est ensuite utilisée par les autres calculateurs de l’aéronef. La donnée de travail S correspond à une fonction des valeurs des voies d’acquisition A, B, que l’on peut écrire sous la forme S=f(A,B). Le principe de redondance appelle un principe de symétrie dans la fonction f (car les deux voies A, B sont généralement préférablement indifférenciées et aucune n’est privilégiée par rapport l’autre) donc on choisit préférablement une fonction f telle que f(A,B)=f(B,A). Il peut arriver que ce ne soit pas le cas : parfois, pour certaines températures, on préfère privilégier le maximum entre voies pour se protéger des sur-températures.
Dans un mode de réalisation préférentielle, la fonction f est une moyenne et on a S=moy_AB=(A+B)/2. Cela signifie que la donnée de travail S correspond à la moyenne des valeurs des voies d’acquisition A et B.
La mémoire 24 stocke un modèle informatique Mod de la grandeur mesurée par les voies A, B. Ce modèle a été élaboré préalablement à partir d’autres mesures.
Comme indiqué précédemment, la précision des capteurs 12, 14 est meilleure que celle du modèle Mod.
L’unité de calcul 20 peut regrouper plusieurs sous-unités de calcul, notamment dans le cas où les tâches sont partagées entre différents calculateurs ou ordinateurs.
Les voies d’acquisition A, B acquièrent en continu (ou à intervalle régulier) des données relatives au dispositif 30. Ces données sont envoyées à l’unité de calcul 20 qui calcule notamment un écart ∆ entre les valeurs mesurées des voies A, B. Cet écart ∆ peut être en valeur absolue ou en relatif (positive ou négative). Pour illustrer certaines situations dans la présente description, on considèrera que les valeurs acquises vérifient la définition de ∆ suivante : B=A+∆.
On définit un seuil de défaillance Th_Err à partir duquel on considère que l’écart ∆ sur la mesure, consécutif à une panne, risque de provoquer un évènement redouté ou indésiré (LOTC par exemple). Cela signifie que si la donnée de travail S correspond à la voie d’acquisition défectueuse (ce que l’on souhaite éviter donc), il y a un risque de provoquer l’évènement indésiré.
En référence à lafigure 3, qui illustre graphiquement les différentes étapes du procédé de détection et de localisation, ce procédé va être décrit. On suppose ici un seuil de défaillance de 8K.
Dans une première étape E1, une erreur, consécutive à une défaillance, est détectée lorsque l’écart ∆ atteint un seuil de détection Th_D (1K sur lafigure 3). L’erreur est symptomatique d’une voie d’acquisition défectueuse. La donnée relative au seuil de détection Th_D est typiquement stockée dans la mémoire 24. Le seuil de détection Th_D dépend du système d’acquisition 10 dont notamment les spécifications des capteurs 12, 14 (donc de leur précision).
L’étape E1 est mise en œuvre par l’unité de calcul 20. Sur lafigure 3, l’étape E1 survient à t1.
Optionnellement, une étape de notification E1’ est déclenchée par l’unité de calcul 20 pour fournir une information selon laquelle une erreur a été détectée. L’information de détection d’erreur peut être exploitée par un calculateur, un autre module de l’unité de calcul 20, ou encore par un opérateur humain, etc.). Par conséquent, il existe une information de détection d’erreur relative au système d’acquisition indiquant qu’une des deux voies A, B est défectueuse, mais sans pouvoir à ce stade identifier laquelle.
Ensuite, une étape d’attente E2 est effectuée, ce qui correspond simplement à une attente pour laisser le système évoluer pendant une durée T. Durant cette étape d’attente E2, la panne est connue mais sous contrôle, c’est-à-dire que l’on sait que l’erreur engendrée ne va pas conduire à l’évènement redouté : il s’agit donc d’une durée de maintien sous contrôle de l’erreur ou d’une durée d’inoffensivité de l’erreur. La durée T dure jusqu’à ce qu’une étape de localisation E3 de la voie défectueuse soit déclenchée (voirfigure 3). La durée T est typiquement non nulle (sauf dans les cas de panne franche, où une voie se déplace instantanément).
L’étape de localisation E3 est effectuée lorsque l’écart ∆ des valeurs mesurées entre les voies A, B atteint un seuil de localisation Th_L (figure 3). La localisation se fait en comparant les valeurs mesurées pour les voies A, B avec le modèle Mod des voies A, B stockés dans la mémoire 24. Typiquement, la voie A, B considérée comme non-défectueuse est celle qui est le proche du modèle Mod. Plus proche signifie que l’écart entre les valeurs est le plus faible.
L’étape E3 est mise en œuvre par l’unité de calcul 20. Sur lafigure 3, l’étape E3 survient à t2.
Grâce à l’attente E2, l’écart ∆ a pu grandir depuis l’étape de détection E1 (par exemple dans le cas d’une dérive de gain du capteur), ce qui fait que l’identification de la voie se fait avec moins de risque d’erreur malgré l’imprécision du modèle Mod.
Naturellement, le seuil de localisation Th_L a une valeur différente de celle du seuil de détection Th_D, sinon les mêmes risques d’erreur liée à une localisation précoce seraient présents.
De plus, comme la détection E1 a été effectuée en amont, un nouvel état de panne détectée mais panne non localisée est créé. Il y ainsi une détection préventive qui peut provoquer la mise en place de certaines mesures préventives : non prise en compte des données générées par le système d’acquisition 10 ou opération de maintenance. En effet, même si le risque de se tromper de voies A, B est élevé à ce stade, la criticité en maintenance est largement moindre que lors d’opération. Il est donc raisonnable dans ce cadre-là d’essayer de localiser plus tôt l’erreur.
Une fois que la localisation E3 a été effectuée et que la voie défectueuse a été identifiée (ou concomitamment), une étape de sélection (aussi appelée accommodation) E4 de la voie non-défectueuse est mise en œuvre. Cela signifie que la donnée de travail S de l’unité de calcul 20 devient la voie d’acquisition non défectueuse – l’autre voie étant ignorée.
L’étape de sélection E4 est mise en œuvre par l’unité de calcul 20. Sur lafigure 3, l’étape E4 survient à t1 aussi.
Il y a donc deux seuils à régler : le seuil de détection Th_D et le seuil de localisation Th_L. Le seuil de détection Th_D dépend uniquement des spécifications capteurs.
En revanche, il reste à déterminer la valeur du seuil de localisation Th_L, ce qui impose de connaitre le moment à partir duquel on aboutirait à l’évènement redouté sans accommodation.
En pratique, comme cela a été indiqué plus tôt, la donnée de travail S correspond à la moyenne Moy_AB des voies d’acquisition A, B. Par définition, si on se trompe sur la mesure d’un écart ∆ égal à Th_Err et que la donnée de travail S correspond à la voie défectueuse, on risque d’aboutir à l’évènement redouté.
Or, tant que l’on n’a pas localisé la voie d’acquisition défectueuse, la panne a un impact divisé par deux (car la donnée de travail S est la moyenne Moy_AB entre les deux voies A, B).
Par conséquent, le risque ne se produit que lorsque que S-A=Moy_AB-A=Th_Err-A. On a donc Th_Err-A =(A+B)/2-A=(A+A+∆)/2-A= ∆/2, soit ∆=2Th_Err.
Il est donc possible de ne mettre en œuvre l’étape E3 de localisation que lorsque l’écart ∆ entre voies atteint 2Th_Err, c’est-à-dire le plus tardivement possible. Cette valeur étant extrémale, l’application d’une marge de sécurité fait que l’on cherche à localiser lorsque l’écart ∆ entre voies atteint Th_L tel que Th_Err<Th_L≤2Th_Err.
En d’autres termes, comme Th_L>Th_Err (Th_L est strictement supérieur à Th_Err), l’écart ∆ entre voies A, B sera amené à dépasser le seuil de défaillance Th_Err durant l’étape d’attente E2. En revanche, comme Th_L≤2Th_Err, la donnée de travail S=Moy_AB garde bien un écart avec la voie A (ou la voie B d’ailleurs, au signe près, car la fonction est la fonction moyenne) inférieur à Th_Err durant toute la phase d’attente E2, ce qui signifie que le risque que l’évènement redouté survienne est évité. Si Th_L=2Th_Err, l’étape de localisation est déclenchée à l’instant où la donnée de travail S=Moy_AB atteint un écart avec la voie A qui vaut Th_Err. Si Th_L<2Th_Err, alors la donnée de travail S=Moy_AB garde bien un écart avec la voie A qui sera toujours inférieur à Th_Err.
Comme d’autres données de sortie S sont possibles (utilisation d’autres fonctions f que la moyenne), le principe est immédiatement généralisable : on choisit un seuil de localisation Th_L de sorte que l’écart entre les valeurs des deux voies A, B puisse dépasser le seuil de défaillance Th_Err mais que l’écart entre la donnée de travail S et l’une ou l’autre des deux voies A, B (on peut calculer les deux écarts et prendre le maximum des écarts) ne puisse pas dépasser le seuil de défaillance Th_Err.
De cette manière, on localise « au plus tard » lorsque l’erreur sur la voie d’acquisition défaillante est maximale ce qui diminue fortement la probabilité de mauvaise localisation.
Les valeurs des seuils Th_Err, Th_L_, Th_D sont mémorisées dans la mémoire 24 de l’unité de calcul 20. Les seuils sont ici exprimés en valeur absolue, c’est-à-dire qu’ils sont positifs.
Comme précisé ci-dessus, les seuils et les écarts sont avantageusement exprimés en valeur absolue, afin de ne pas dépendre des signes des données acquises. Il est toutefois possible de travailler hors valeur absolue : il faut alors tenir compte des signes et des évolutions (croissante ou décroissante) des données.
Grâce au procédé décrit, on utilise au maximum les tolérances maximales sur l’acquisition avant l’étape de localisation E3 pour accommoder au juste besoin. Par conséquent, plus cette criticité sera maitrisée, plus la performance de gestion des pannes pourra être améliorée.
Enfin, il se peut que le fonctionnement du système d’acquisition 10 et/ou la précision du modèle Mod varie en fonction du régime de fonctionnement du dispositif 30. Dans ce cas, différentes valeurs de chaque seuil Th_Err, Th_L et/ou Th_D, et/ou le modèle Mod peuvent être stockés dans une table dans la mémoire 24, en fonction des plages de fonctionnement du système d’acquisition 10 et/ou de la précision du modèle.
Claims (10)
- Procédé de détection et de localisation de panne d’une voie d’acquisition de mesure dans un système d’acquisition (10) comprenant deux voies d’acquisition redondantes (A, B) de la mesure d’une grandeur physique dans un environnement, le procédé utilisant une unité de calcul (20) comprenant une mémoire (24) stockant un modèle (Mod) de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d’autres grandeurs physiques dans ledit environnement, le procédé mettant en œuvre les étapes suivantes :
- (E1) détection d’une erreur symptomatique d’une voie d’acquisition défectueuse lorsqu’un écart (∆) entre les valeurs mesurées des deux voies (A, B) atteint un seuil de détection (Th_D),
- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée (T) de maintien sous contrôle de l’erreur,
- (E3) localisation de la voie défectueuse parmi les deux voies (A, B), lorsque l’écart (∆) des valeurs mesurées entre les voies (A, B) atteint un seuil de localisation (Th_L), ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies (A, B) avec une valeur modélisée de la grandeur physique,
le seuil de localisation (Th_L) étant différent du seuil de détection (Th_D). - Procédé selon la revendication 1, dans lequel l’unité de calcul (12) génère une donnée de travail (S, moy_AB) qui prend en compte les valeurs des deux voies d’acquisition (A, B) tant que l’étape de localisation (E3) n’est pas déclenchée, ledit procédé comprenant une étape de :
- (E4) sélection de la voie non-défectueuse (B, A) comme grandeur de travail (S) une fois l’étape de localisation (E3) de la voie défectueuse (A, B) effectuée. - Procédé selon l’une quelconque des revendications 1 à 2, dans lequel un seuil de défaillance (Th_Err) est prédéfini et l’unité de calcul (12) génère une donnée de travail (S, moy_AB) qui prend en compte les valeurs des deux voies d’acquisition (A, B) tant que l’étape de localisation (E3) n’est pas déclenchée, et dans lequel le seuil de localisation (Th_L) est choisi de sorte que l’écart (∆) entre les valeurs des deux voies (A, B) puisse dépasser le seuil de défaillance (Th_Err) mais que l’écart entre la donnée de travail (Moy_AB) et la valeur de l’une ou l’autre des deux voies (A, B) ne puisse pas dépasser le seuil de défaillance (Th_Err).
- Procédé selon la revendication 3, dans lequel le seuil de localisation (Th_L) est supérieur à un seuil de défaillance (Thr_Err).
- Procédé selon l’une quelconque des revendications 1 à 4, dans lequel la grandeur de travail (moy_AB) correspond à une moyenne arithmétique des grandeurs des voies (A, B).
- Procédé selon la revendication 5, dans lequel le seuil de localisation (Th_L) est compris entre le seuil de défaillance (Th_Err) et deux fois le seuil de défaillance (Th_Err).
- Procédé selon l’une quelconque des revendications 1 à 6, dans lequel une étape de notification (E1’) de la détection est émise par l’unité de calcul (10) avant la mise en œuvre de l’étape de localisation (E4), préférablement au moment de l’étape de détection (E3), pour fournir une information d’un état de panne détectée mais non localisée.
- Procédé selon l’une quelconque des revendications 1 à 7, dans lequel le seuil de détection (Th_D) et/ou le seuil de localisation (Th_L) et/ou le seuil de défaillance (Th_Err) et/ou le modèle de la grandeur physique (Mod) est/sont fonction des plages de fonctionnement du système d’acquisition (10) et/ou de la précision du modèle.
- Procédé selon l’une quelconque des revendications 1 à 8, dans lequel le seuil de détection (Th_D) est fixé en fonction des spécifications de capteur des deux voies (A, B).
- Unité de calcul (12) pour la détection et de localisation de panne d’une voie d’acquisition de mesure dans un système d’acquisition (10) comprenant deux voies d’acquisition redondantes (A, B) de la mesure d’une grandeur physique dans un environnement, l’unité de calcul comprenant une mémoire (24) stockant un modèle (Mod) de la grandeur physique mesurée, ledit modèle fournissant des valeurs modélisées de la grandeur physique en fonction de mesures d’autres grandeurs physiques dans ledit environnement, l’unité de calcul étant configuré pour recevoir des données de mesure issues des voies d’acquisition (A, B) du système d’acquisition (10),
l’unité de calcul (12) étant configurée pour mettre en œuvre les étapes suivantes :
- (E1) détection d’une erreur d’une erreur symptomatique d’une voie d’acquisition défectueuse lorsque l’écart entre les valeurs mesurées des deux voies (A, B) franchit un seuil de détection (Th_D),
- (E2) attente pour laisser le système d’acquisition évoluer pendant une certaine durée (T) de maintien sous contrôle de l’erreur,
- (E3) localisation de la voie défectueuse parmi les deux voies (A, B), lorsque l’écart des valeurs mesurées entre les voies (A, B) franchit un seuil de localisation (Th_L), ladite localisation étant effectuée à partir de la comparaison de la valeur mesurée de chacune des voies (A, B) avec une valeur modélisé de la grandeur physique,
le seuil de localisation (Th_L) étant différent du seuil de détection (Th_D).
Priority Applications (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1902477A FR3093829B1 (fr) | 2019-03-12 | 2019-03-12 | Localisation de panne dans un système d’acquisition redondant |
| CN202080026277.5A CN113678107B (zh) | 2019-03-12 | 2020-03-12 | 检测和定位采集***中故障的方法和计算装置 |
| EP20725889.8A EP3938910B1 (fr) | 2019-03-12 | 2020-03-12 | Localisation de panne dans un système d'acquisition redondant |
| PCT/FR2020/050523 WO2020183113A1 (fr) | 2019-03-12 | 2020-03-12 | Localisation de panne dans un système d'acquisition redondant |
| US17/438,022 US11836057B2 (en) | 2019-03-12 | 2020-03-12 | Fault location in a redundant acquisition system |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1902477 | 2019-03-12 | ||
| FR1902477A FR3093829B1 (fr) | 2019-03-12 | 2019-03-12 | Localisation de panne dans un système d’acquisition redondant |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| FR3093829A1 true FR3093829A1 (fr) | 2020-09-18 |
| FR3093829B1 FR3093829B1 (fr) | 2021-02-26 |
Family
ID=67441344
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR1902477A Active FR3093829B1 (fr) | 2019-03-12 | 2019-03-12 | Localisation de panne dans un système d’acquisition redondant |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US11836057B2 (fr) |
| EP (1) | EP3938910B1 (fr) |
| CN (1) | CN113678107B (fr) |
| FR (1) | FR3093829B1 (fr) |
| WO (1) | WO2020183113A1 (fr) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR3097840B1 (fr) * | 2019-06-26 | 2021-10-22 | Airbus Operations Sas | Procédé de localisation et réparation de pannes intermittentes dans des structures de communication d’un aéronef |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB2260430A (en) * | 1991-10-10 | 1993-04-14 | Smiths Industries Plc | Fault tolerant processing |
| EP2034409A1 (fr) * | 2007-09-06 | 2009-03-11 | Peugeot Citroën Automobiles Sa | Procédé de gestion de défaillances avec mémorisation de ces défaillances pour un véhicule automobile |
| WO2013038091A1 (fr) * | 2011-09-15 | 2013-03-21 | Snecma | Système de surveillance d'une chaîne de mesure d'un turboréacteur |
Family Cites Families (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE3279929D1 (en) * | 1982-06-16 | 1989-10-12 | Boeing Co | Autopilot flight director system |
| US4774709A (en) * | 1986-10-02 | 1988-09-27 | United Technologies Corporation | Symmetrization for redundant channels |
| US5086499A (en) * | 1989-05-23 | 1992-02-04 | Aeg Westinghouse Transportation Systems, Inc. | Computer network for real time control with automatic fault identification and by-pass |
| DE10065920B4 (de) * | 2000-07-18 | 2006-07-06 | Eads Deutschland Gmbh | Verfahren und Einrichtung zur Erkennung eines Defekts in einem Sensorsystem |
| FR2964210B1 (fr) * | 2010-08-24 | 2012-09-21 | Airbus Operations Sas | Systeme de traitement de signaux redondants, procede associe, et aeronef comprenant un tel systeme |
| US9287062B2 (en) * | 2012-05-02 | 2016-03-15 | National Instruments Corporation | Magnetic switching system |
| US9547449B2 (en) * | 2014-11-12 | 2017-01-17 | International Business Machines Corporation | Performance optimization of read functions in a memory system |
| US10432194B2 (en) * | 2015-08-24 | 2019-10-01 | Iee International Electronics & Engineering S.A. | Adaptive signal threshold for triggering kick detection |
| US20170243413A1 (en) * | 2016-02-22 | 2017-08-24 | Hamilton Sundstrand Corporation | Method for determining aircraft sensor failure without a redundant sensor and correct sensor measurement when redundant aircraft sensors give inconsistent readings |
| US10042693B2 (en) * | 2016-07-12 | 2018-08-07 | Infineon Technologies Ag | Diverse integrated processing using processors and diverse firmware |
| US10803968B2 (en) * | 2019-03-05 | 2020-10-13 | Texas Instruments Incorporated | Methods and apparatus to control switching of a sampling circuit |
-
2019
- 2019-03-12 FR FR1902477A patent/FR3093829B1/fr active Active
-
2020
- 2020-03-12 EP EP20725889.8A patent/EP3938910B1/fr active Active
- 2020-03-12 CN CN202080026277.5A patent/CN113678107B/zh active Active
- 2020-03-12 US US17/438,022 patent/US11836057B2/en active Active
- 2020-03-12 WO PCT/FR2020/050523 patent/WO2020183113A1/fr unknown
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| GB2260430A (en) * | 1991-10-10 | 1993-04-14 | Smiths Industries Plc | Fault tolerant processing |
| EP2034409A1 (fr) * | 2007-09-06 | 2009-03-11 | Peugeot Citroën Automobiles Sa | Procédé de gestion de défaillances avec mémorisation de ces défaillances pour un véhicule automobile |
| WO2013038091A1 (fr) * | 2011-09-15 | 2013-03-21 | Snecma | Système de surveillance d'une chaîne de mesure d'un turboréacteur |
Also Published As
| Publication number | Publication date |
|---|---|
| US11836057B2 (en) | 2023-12-05 |
| FR3093829B1 (fr) | 2021-02-26 |
| CN113678107A (zh) | 2021-11-19 |
| EP3938910A1 (fr) | 2022-01-19 |
| EP3938910B1 (fr) | 2023-06-07 |
| CN113678107B (zh) | 2023-10-13 |
| US20220147425A1 (en) | 2022-05-12 |
| WO2020183113A1 (fr) | 2020-09-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP2411832B1 (fr) | Procédé et dispositif de détection et d'exclusion de pannes satellite dans un système hybride ins/gnss | |
| EP2069818B1 (fr) | Procede et dispositif de surveillance de l'integrite des informations delivrees par un systeme hybride ins/gnss | |
| CA2796739C (fr) | Procede et systeme de surveillance du niveau d'huile contenue dans un reservoir d'un moteur d'aeronef | |
| EP2506103B1 (fr) | Procédé et dispositif de détection automatique d'une donnée air erronée sur un aéronef | |
| FR3095271A1 (fr) | Système de surveillance de la santé d’un hélicoptère | |
| FR3059615A1 (fr) | Procede et dispositif de verification d'un systeme de capteurs de vehicule | |
| EP3938910B1 (fr) | Localisation de panne dans un système d'acquisition redondant | |
| FR2916290A1 (fr) | Systeme de selection d'une donnee representative d'un parametre de l'air, procede et programme d'ordinateur associes | |
| EP2034275B1 (fr) | Dispositif de validation de mesures d'une grandeur cinématique | |
| EP2012138A1 (fr) | Procédé et système de contrôle d'integrité des mesures dans un système de navigation | |
| FR2966928A1 (fr) | Procede et dispositif de surveillance d'une chaine de mesure redondee | |
| EP3963286B1 (fr) | Procédé de navigation à double filtre | |
| EP2382515B1 (fr) | Circuit électronique de détermination d'une donnée représentative d'un paramètre de l'air et système comprenant un tel circuit | |
| EP3729003B1 (fr) | Detection et accomodation de circuits ouverts intermittents sur un capteur moteur d'une turbomachine d'aeronef | |
| FR3075951A1 (fr) | Detection de contact intermittent sur capteur moteur | |
| CA2745977A1 (fr) | Procede et systeme d'estimation d'une temperature de veine dans un turboreacteur | |
| FR3132398A1 (fr) | Système de commande d’un dispositif muni d’au moins capteur redondé à détection et isolement des pannes d’un desdits capteurs. | |
| CA2748388C (fr) | Systeme de selection d'une donnee representative d'un parametre de l'air, systeme de commande de moteur, aeronef comprenant de tels systemes et procede associe | |
| FR2979013A1 (fr) | Systeme de surveillance en banc d'essai de moteur d'aeronef | |
| EP3215897A1 (fr) | Contrôleur amélioré d'état d'un système piloté par une commande | |
| WO2024074780A1 (fr) | Procédé de contrôle de l'intégrité d'une pluralité de mesures de pseudo-distances acquises par un système de navigation | |
| FR3094807A1 (fr) | Dispositif de commande d'un moteur d'un aéronef comprenant deux voies de commande redondées | |
| FR2992359A1 (fr) | Detection de defaillances de combustion d'un moteur | |
| FR3021737A1 (fr) | Chaine d'acquisition d'au moins une grandeur physique pour un systeme avionique embarque critique, et procede d'acquisition associe |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PLFP | Fee payment |
Year of fee payment: 2 |
|
| PLSC | Publication of the preliminary search report |
Effective date: 20200918 |
|
| PLFP | Fee payment |
Year of fee payment: 3 |
|
| PLFP | Fee payment |
Year of fee payment: 4 |
|
| PLFP | Fee payment |
Year of fee payment: 5 |
|
| PLFP | Fee payment |
Year of fee payment: 6 |